Персональные данные

Постановление № 1119: требования к защите персональных данных по пунктам

Редактор ФТИ 8 октября 2026 8 мин чтения

Коротко

Постановление № 1119 по пунктам: тип угроз, четыре уровня защищённости, требования п. 13–16, контроль и лицензиат по п. 17. Что в нём есть и чего нет для малого оператора.

Коротко: постановление Правительства № 1119 от 01.11.2012 — это набор требований к защите персональных данных в информационных системах и четыре уровня защищённости. Оператор определяет тип угроз, по нему, по категориям данных и числу людей находит свой уровень (п. 8–12), а для уровня — перечень требований (п. 13–16). Требования накапливаются: каждый следующий уровень добавляет новые к предыдущему. Для самого низкого, 4-го уровня, Требования называют четыре меры; по нашему опыту, большинство из них выполнимы силами небольшой организации, кроме случая, когда по п. 13 «г» нужны средства защиты информации с оценкой соответствия.

Только документы: описание системы, уровень, модель угроз, перечень мер · цену называем до договора

Определим тип угроз и уровень защищённости по ПП № 1119 — от 12 900 ₽

Узнать цену для моей системы →

Главное

Постановление работает для информационных систем персональных данных (п. 1; определение — п. 10 ст. 3 закона № 152-ФЗ). Бумажные картотеки регулирует постановление № 687.
Тип угроз определяет оператор (п. 7 Требований), уровень «устанавливается» по условиям п. 9–12, по нашему прочтению, тоже оператором. Освобождения для малого бизнеса в тексте нет, есть порог 100 000 субъектов.
Требования наслаиваются: 4-й уровень — п. 13, 3-й добавляет п. 14, 2-й — п. 15, 1-й — п. 16.
Лицензиат упомянут в п. 17 только для тех, кого вы привлекаете к контролю. Сам оператор может проводить его самостоятельно, не реже 1 раза в 3 года.
Формы акта, аттестации и слов «модель угроз» в постановлении нет. Акт и модель угроз — практика вокруг п. 6–12 Требований, аттестация — отдельная лицензируемая работа.

Что это за документ и кого он касается

Постановление принято во исполнение ст. 19 закона № 152-ФЗ: Правительство устанавливает уровни защищённости и требования, исполнение которых их обеспечивает (ч. 3 ст. 19). Требования утверждены приложением к постановлению и охватывают обработку в информационных системах (п. 1). Информационная система персональных данных — совокупность данных в базах и обеспечивающих их обработку технологий и технических средств (п. 10 ст. 3). По нашему прочтению, сюда попадают и 1С, и CRM, и база заявок сайта; подробнее в статье об ИСПДн и их классификации.

Безопасность данных в системе обеспечивает оператор или лицо, которому он поручил обработку по договору; договор должен предусматривать его обязанность обеспечить безопасность данных (п. 3). Если у вас облачная CRM или хостинг, это стоит проверить в договоре. Про такие случаи: облачные сервисы и персональные данные.

Требования по пунктам

Сам текст постановления состоит из двух пунктов: утвердить Требования и признать утратившим силу прежнее постановление № 781. Пункты 1–17, о которых идёт речь ниже, это пункты Требований.

Пункты	О чём	Что важно
1	Предмет: требования к защите и уровни защищённости	Документ про информационные системы
2	Система защиты ПДн	Нейтрализует актуальные угрозы; включает организационные и (или) технические меры, определённые с их учётом
3	Кто обеспечивает безопасность	Оператор или уполномоченное лицо; договор с ним должен это предусматривать
4	Выбор средств защиты информации	Оператор выбирает их по актам ФСБ и ФСТЭК, принятым во исполнение ч. 4 ст. 19
5	Категории данных и субъектов	Специальные, биометрические, общедоступные, иные; данные только работников оператора или иных лиц
6–7	Актуальные угрозы и три типа угроз	Тип определяет оператор с учётом оценки вреда (п. 5 ч. 1 ст. 18.1) и актов, принятых во исполнение ч. 5 ст. 19 (отраслевые угрозы)
8–12	Четыре уровня защищённости	Условия по типу угроз, категориям и порогу 100 000 субъектов
13–16	Требования для каждого уровня	Накапливаются от 4-го уровня к 1-му
17	Контроль выполнения	Не реже 1 раза в 3 года; самостоятельно и (или) с лицензиатом

Как читать п. 6–12 на примере. Система хранит обычные данные клиентов (не специальные и не биометрические), субъектов меньше 100 000, угрозы 3-го типа: это 4-й уровень (п. 12 «б»). Если по итогам оценки актуальны угрозы 2-го типа, те же данные дают 3-й уровень (п. 11 «б»). Тип угроз тут решает всё, поэтому его надо обосновывать. Таблицу условий разбираем в статье об уровнях защищённости, оформление результата — в статье об акте определения уровня.

Требования по уровням: п. 13–16

Уровень	Что добавляется	Пункт
4-й	Режим помещений, препятствующий неконтролируемому проникновению; сохранность носителей; документ, утверждённый руководителем, с перечнем лиц, доступ которых необходим для работы; средства защиты информации с оценкой соответствия, когда они нужны для нейтрализации актуальных угроз	13 «а»–«г»
3-й	К требованиям 4-го: назначено должностное лицо (работник), ответственное за обеспечение безопасности данных в системе	14
2-й	К требованиям 3-го: доступ к содержанию электронного журнала сообщений только у работников, которым он нужен для выполнения обязанностей	15
1-й	К требованиям 2-го: автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудников по доступу; структурное подразделение, ответственное за безопасность, либо возложение этих функций на одно из подразделений	16 «а», «б»

Две оговорки. Во-первых, средства защиты нужны не всегда: п. 13 «г» говорит о них «в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз». Это снова упирается в определение угроз. Во-вторых, определения «электронного журнала сообщений» в постановлении нет, и как его понимать в вашей системе, лучше обсудить с ИТ-специалистом.

Для 4-го уровня часть пунктов закрывается документами. Перечень лиц с доступом удобно вести в перечне ИСПДн с матрицей доступа, носители — в журнале учёта носителей. Журналы и перечни закон по названию не требует, это наша рекомендация.

«Лицензиат» в п. 17: что это значит для малого оператора

Пункт 17 говорит: контроль за выполнением требований организует и проводит оператор «самостоятельно и (или) с привлечением на договорной основе» организаций и ИП, имеющих лицензию на деятельность по технической защите конфиденциальной информации; проводится он не реже 1 раза в 3 года, сроки определяет оператор. По нашему прочтению, постановление не обязывает привлекать лицензиата: оно говорит, что если вы привлекаете подрядчика, у него должна быть лицензия. Приказ ФСТЭК № 21 формулирует так же для оценки эффективности мер (п. 6) и для работ по обеспечению безопасности (п. 2: привлекаться «могут»).

Какие виды деятельности лицензируются, перечислено в п. 4 Положения, утверждённого постановлением № 79: контроль защищённости, мониторинг безопасности, аттестационные испытания и аттестация, проектирование в защищённом исполнении, установка и наладка средств защиты. Эти услуги ФТИ не оказывает. Подробнее о лицензии: хаб «Защита персональных данных».

Что постановление не требует

Формы «акта определения уровня». В тексте её нет. Тип угроз определяет оператор (п. 7 Требований), а необходимость уровня «устанавливается» по условиям п. 9–12; кто именно устанавливает, прямо не сказано, по нашему прочтению, оператор (п. 3). В каком виде фиксировать, не сказано.
Документа под названием «модель угроз». Слов «модель угроз» в постановлении и в приказе № 21 мы не нашли; говорится об определении актуальных угроз (п. 2, 6, 7). Разбор: модель угроз безопасности персональных данных.
Аттестации. Слова «аттестация» нет ни в постановлении, ни в приказе № 21. Нужна ли она по другим основаниям, зависит от типа системы; мы этим не занимаемся.
Скидок по размеру бизнеса. Деление идёт по данным, угрозам и числу субъектов, а не по численности организации.
Защиты бумаги по этим правилам. Обработка без средств автоматизации — постановление № 687; по нему для каждой категории данных определяются места хранения носителей и перечень лиц с доступом (п. 13).

Состав мер, которые обеспечивают выбранный уровень, задаёт не постановление, а акты ФСТЭК и ФСБ (ч. 4 ст. 19); для некриптографических мер это приказ ФСТЭК № 21. Разбор по группам мер: приказ ФСТЭК № 21 о мерах защиты. Положение, которое собирает меры в один акт: положение о защите персональных данных.

Как мы помогаем

Мы готовим документы: описание системы, тип угроз и уровень защищённости по постановлению № 1119, модель угроз и перечень мер, соответствующих уровню, без внедрения. Для типичной малой системы (сайт, CRM, 1С) цена от 12 900 ₽, называем её после разбора и до договора. Правки вносим, пока вы не скажете «принимаю». Аттестацию, установку и настройку средств защиты, мониторинг не берём: на них нужна лицензия ФСТЭК. Критическую информационную инфраструктуру, государственные системы и системы с криптографией тоже не берём. Если вам нужен весь комплект для 152-ФЗ, смотрите документы по 152-ФЗ (9 900 ₽).

Описание системы, уровень по ПП № 1119, модель угроз, перечень мер · внедрение не входит

Модель угроз персональных данных — от 12 900 ₽

Оставить заявку →

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Что такое постановление 1119 простыми словами?

Это требования Правительства к защите персональных данных в информационных системах. Оператор определяет тип угроз и находит уровень защищённости из четырёх, а для уровня постановление называет набор требований (п. 13–16).

Кому нужно выполнять постановление № 1119?

Оператору, который обрабатывает данные в информационной системе (п. 1, п. 3). Исключений по размеру бизнеса в тексте нет. Если данные только на бумаге, действует постановление № 687.

Какие требования для 4-го уровня защищённости?

Режим помещений, сохранность носителей, утверждённый руководителем документ с перечнем лиц, доступ которых необходим для работы, и средства защиты с оценкой соответствия, когда они нужны для нейтрализации актуальных угроз (п. 13).

Чем отличаются требования 3-го, 2-го и 1-го уровней?

Они добавляются к требованиям предыдущего уровня: на 3-м — ответственный за безопасность данных в системе (п. 14), на 2-м — ограничение доступа к электронному журналу сообщений (п. 15), на 1-м — автоматическая регистрация изменения полномочий и подразделение по безопасности (п. 16).

Нужна ли лицензия ФСТЭК оператору по постановлению 1119?

Постановление требует лицензию только у организаций и ИП, которых оператор привлекает к контролю (п. 17). Самому оператору при самостоятельном контроле она в тексте постановления не названа.

Как часто нужно проверять выполнение требований?

Контроль проводится не реже 1 раза в 3 года в сроки, которые определяет оператор (п. 17). Оценку эффективности мер приказ ФСТЭК № 21 тоже называет не реже одного раза в 3 года (п. 6).

Есть ли в постановлении форма акта определения уровня защищённости?

Нет. Форма акта не установлена ни постановлением № 1119, ни приказом ФСТЭК № 21. Акт — практика оформления результата, подробности в нашей статье об акте.

Нужна ли аттестация по постановлению 1119?

В тексте постановления и приказа № 21 аттестации нет. Нужна ли она вам по иным основаниям, зависит от типа системы. Аттестацию мы не оказываем: это лицензируемая деятельность.

Сколько стоит определить уровень защищённости?

Определение типа угроз и уровня по ПП № 1119 вместе с моделью угроз и перечнем мер для типичной малой системы стоит от 12 900 ₽. Цену называем до договора, правки до «принимаю» включены. Внедрение средств защиты не входит.